KVKK uyum sürecinde bir şirketin "kalbi" ve "ana haritası" Kişisel Veri İşleme Envanteridir. Şirketinizde işlenen verilerin ne olduğunu bilmeden yapılan bir VERBİS kaydı, binanın temeli olmadan çatı inşa etmeye benzer ve denetimlerde ilk yıkılan unsur olur.
1. Kişisel Veri İşleme Envanteri Nedir?
Veri Sorumluları Sicili Hakkında Yönetmelik Madde 4/1-(ç) uyarınca kişisel veri işleme envanteri; veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini;
- Kişisel verileri işleme amaçları ve hukuki sebebi,
- Veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları,
- Kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini,
- Yabancı ülkelere aktarımı öngörülen kişisel verileri ve
- Veri güvenliğine ilişkin alınan tedbirleri
açıklayarak detaylandırdıkları resmi envanter tablosudur.
2. Envanterde Bulunması Zorunlu Olan 9 Temel Alan
Standart ve KVKK onaylı bir envanter tablosunda şu 9 temel sütun mutlaka yer almalıdır:
- İş Süreci / Departman: Verinin işlendiği birim (İnsan Kaynakları, Muhasebe, Bilgi İşlem, Pazarlama, Satış vb.).
- Veri Kategorisi ve Tipleri: Kimlik (Ad-Soyad, TCKN), İletişim (Telefon, E-posta, Adres), Finans (Banka IBAN, Maaş bilgisi) vb.
- İlgili Kişi Grubu: Verisi işlenen kişinin sıfatı (Çalışan, Çalışan Adayı, Müşteri, Ziyaretçi, Tedarikçi Yetkilisi).
- Veri İşleme Amacı: Sözleşmenin kurulması, yasal yükümlülük (SGK bildirimleri), finansal operasyonlar, iş güvenliği vb.
- Hukuki Sebep: 6698 sayılı Kanun m. 5/2 (Kanunlarda açıkça öngörülmesi, Sözleşmenin ifası, Meşru menfaat) veya m. 5/1 Açık Rıza.
- Aktarılan Alıcı Grupları: Yetkili kamu kurumları (SGK, Vergi Dairesi), Bankalar, Bağımsız Denetçi, Hukuk Bürosu, Bulut Yazılım Sağlayıcısı.
- Yurtdışı Aktarımı: Veri yurtdışına çıkıyor mu? (Örn: Microsoft 365, Google Workspace, AWS sunucuları, yabancı CRM programları).
- Saklama Süresi ve Yasal Dayanağı: İş Kanunu (10 yıl), Türk Ticaret Kanunu (10 yıl), İSG Mevzuatı (15 yıl) vb.
- Teknik ve İdari Tedbirler: Şifreleme, erişim logları, yetki matrisi, sızma testi, personel gizlilik taahhüdü vb.
3. Envanter Hazırlama Adımları
Adım 1: Departman Yöneticileriyle Görüşmeler ve Veri Taraması
İlk adımda şirketteki her departmanın kullandığı yazılımlar, formlar, Excel tabloları, sözleşmeler ve fiziksel arşiv dosyaları taranır. Örneğin İK departmanında özlük dosyaları, sağlık raporları, adli sicil kayıtları ve referans mektupları tek tek tespit edilir.
Adım 2: Özel Nitelikli Kişisel Verilerin Ayrıştırılması
Kanunun 6. maddesinde sayılan özel nitelikli veriler (Sağlık bilgisi, biyometrik veri, dernek/sendika üyeliği, ceza mahkumiyeti vb.) ayrı bir dikkatle sınıflandırılmalıdır. Bu verilerin işlenmesi çok daha sıkı şartlara tabidir ve VERBİS'e mutlaka doğru girilmelidir.
Adım 3: Saklama ve İmha Sürelerinin Kanunla Eşleştirilmesi
"Verileri sonsuza kadar saklarız" yaklaşımı doğrudan ceza sebebidir. Her veri kategorisi için yasal zamanaşımı ve saklama süreleri belirlenmeli, süresi dolan verilerin periyodik imha (silme, yok etme, anonim hale getirme) periyodu (6 ayda bir) tanımlanmalıdır.
4. Envanterden VERBİS'e Bilgiler Nasıl Aktarılır?
Envanter tamamlandığında, İrtibat Kişisi VERBİS portalına girerek envanterdeki başlıkları KVKK'nın sistemindeki karşılıklarıyla eşleştirir:
- Envanterdeki "Kimlik" verisi seçilir → Sistemdeki amaçlar işaretlenir → Alıcı grupları seçilir → Saklama süresi girilir.
- Envanteriniz doğru kurgulanmışsa, VERBİS girişi hata yapma riski olmadan birkaç saat içerisinde eksiksiz tamamlanır.
5. En Sık Yapılan Hatalar
- İnternetten Şablon Envanter İndirip Kullanmak: Her şirketin veri akışı farklıdır. Başka bir şirketin envanterini kopyalamak denetimlerde felaketle sonuçlanır.
- Bulut Sunucuları Yurtdışı Aktarımı Saymamak: Şirket mailleriniz Microsoft 365 veya Google üzerinde barınıyorsa, verileriniz yurtdışına çıkmaktadır. VERBİS'te bunu "Yurtdışına veri aktarımı yoktur" şeklinde beyan etmek gerçeğe aykırı bildirimdir.
- Kamera ve Ziyaretçi Kayıtlarını Unutmak: Giriş kapısındaki güvenlik kamerası ve ziyaretçi defteri kişisel veri işlemedir; envantere ve VERBİS'e dahil edilmelidir.
Şirketinizin Veri Envanterini Birlikte Hazırlayalım
Hukuk ve bilişim uzmanlarımız firmanızın tüm departmanlarını tarasın, KVKK onaylı resmi veri işleme envanterinizi hazırlasın.